Responsabilité des hébergeurs : l’évolution des critères d’appréciation de la modération des contenus
Ce qu’il faut retenir
Le régime de responsabilité aménagée des hébergeurs, reposant sur l'absence d'obligation générale de surveillance des contenus, a évolué avec le DSA. Le règlement sur les services numériques protège désormais le principe d'une modération volontaire, sans garantir totuefois une exonération générale de responsabilité.
La directive européenne du 8 juin 2000 sur le commerce électronique a instauré un régime de responsabilité limitée des hébergeurs, fondé sur l'absence d'obligation générale de surveillance des contenus. Avec le développement des dispositifs de modération proactive, automatisés ou humains, jusqu'où un hébergeur peut-il contrôler les contenus publiés par ses utilisateurs sans perdre le bénéfice de ce régime ?
Le règlement sur les services numériques (DSA) de 2022 et la jurisprudence récente de la Cour de justice de l'Union européenne (CJUE) permettent d'examiner cette question à travers l'évolution du rôle des hébergeurs, les mesures de modération reconnues par le DSA et les limites posées aux contrôles exercés sur les contenus.
1. La directive sur le commerce électronique : le rôle passif des hébergeurs
1.1 Un régime de responsabilité limitée fondé sur l'absence de surveillance générale
La directive du 8 juin 2000 sur le commerce électronique a instauré un régime spécifique de responsabilité pour les prestataires intermédiaires de l'internet, dont les fournisseurs de services d'hébergement. (1)
L’article 14 prévoyait une exemption de responsabilité pour les informations stockées à la demande des utilisateurs du service, sous réserve que le fournisseur n'ait pas effectivement connaissance de leur caractère illicite ou qu'il agisse promptement pour les retirer ou en rendre l'accès impossible dès l'acquisition de cette connaissance. Pour les demandes de dommages-intérêts, le texte tenait également compte de la connaissance de faits ou circonstances rendant l'illicéité apparente.
L'article 15 complétait ce dispositif en interdisant aux États membres d'imposer aux intermédiaires techniques une obligation générale de surveillance des informations stockées ou de recherche active des activités illicites.
Ces dispositions reposaient sur une conception essentiellement passive de l'hébergement : le prestataire assure le stockage technique des contenus publiés par les utilisateurs, sans être tenu de les contrôler systématiquement. Elles n'excluaient toutefois ni les mesures volontaires de détection ni certaines obligations ciblées de retrait.
En France, la directive a été transposée par la loi du 21 juin 2004 pour la confiance dans l'économie numérique (LCEN).
1.2 La modération réactive et la jurisprudence YouTube et Cyando
La modération réactive repose sur le mécanisme de notification et de retrait prévu par la directive : lorsqu'un contenu est signalé comme illicite, l'hébergeur doit examiner les informations communiquées et, s'il acquiert la connaissance de son illicéité, agir promptement pour le supprimer ou en bloquer l'accès.
La CJUE a rappelé les conditions d'application de ce régime de responsabilité dans l’arrêt YouTube et Cyando du 22 juin 2021. (2) Les deux affaires concernaient la mise à disposition non autorisée d'œuvres protégées par le droit d'auteur sur la plateforme YouTube et le service de partage de fichiers Uploaded.
La Cour rappelle que l'exemption prévue à l'article 14 de la directive suppose que le prestataire exerce une activité purement technique, automatique et passive, sans connaissance ni contrôle des informations stockées. Elle précise toutefois que les mesures techniques destinées à détecter des atteintes au droit d'auteur ne suffisent pas, à elles seules, à caractériser un rôle actif incompatible avec cette exemption. Les juges distinguent également entre la connaissance générale de la présence de contenus potentiellement illicites sur une plateforme et la connaissance d'infractions déterminées.
Cet arrêt confirme qu'un hébergeur peut volontairement rechercher des contenus illicites sans perdre automatiquement le bénéfice de l'exemption de responsabilité, sous réserve d'agir promptement pour les retirer lorsqu'il acquiert la connaissance de tels contenus.
2. Le DSA : la reconnaissance des mesures volontaires de modération des contenus illicites
2.1 La reconnaissance de la modération proactive
Afin de détecter des contenus potentiellement illicites, tels que ceux faisant l'apologie du terrorisme, incitant à la haine raciale ou liés à des activités criminelles, comme le proxénétisme ou l'exploitation sexuelle de mineurs, sans attendre leur signalement par les utilisateurs, des mesures proactives de contrôle peuvent intervenir avant ou après leur publication. Cette modération peut être automatisée, au moyen d'algorithmes ou de filtres par mots-clés, ou humaine, grâce à des équipes chargées d'examiner les contenus suspects.
Le règlement du 19 octobre 2022 sur les services numériques (DSA) a supprimé les articles 12 à 15 de la directive sur le commerce électronique, dont il reprend et complète les principes. (3)
L'article 6 du DSA maintient l'exemption conditionnelle de responsabilité des fournisseurs de services d'hébergement. L'article 8 reprend l'interdiction d'imposer une obligation générale de surveillance.
L'article 7 apporte une clarification concernant la modération proactive. L’exemption de responsabilité ne peut être écartée du seul fait que les fournisseurs de services d’hébergement procèdent, de leur propre initiative, de bonne foi et avec diligence, à des investigations ou prennent des mesures destinées à détecter, identifier et retirer des contenus illicites ou à en rendre l'accès impossible. (4)
Le DSA protège ainsi le principe d'une modération volontaire, sans garantir une exonération générale. Le fournisseur demeure soumis aux conditions de l'article 6, particulièrement lorsqu'il prend connaissance d'un contenu illicite.
2.2 L'arrêt WebGroup Czech Republic : les limites du contrôle algorithmique
Dans son arrêt du 16 juin 2026, rendu dans les affaires jointes WebGroup Czech Republic et Coyote System, la grande chambre de la CJUE précise les critères d'appréciation du contrôle exercé sur les informations stockées. (5)
Les litiges concernaient deux réglementations françaises : l'obligation de vérification de l'âge des visiteurs de sites pornographiques et l'interdiction temporaire de rediffuser certaines informations relatives aux contrôles routiers par un service d'aide à la conduite.
Dans l'affaire concernant la société Coyote, la Cour devait déterminer si un fournisseur pouvait bénéficier du régime d'hébergement prévu à l'article 14 de la directive sur le commerce électronique, lorsque son algorithme contrôlait les modalités de diffusion des informations transmises par les utilisateurs, sans intervention humaine sur chaque contenu.
La CJUE précise que la connaissance et le contrôle des contenus sont deux critères autonomes et alternatifs. Un fournisseur peut donc contrôler les informations stockées sans en avoir individuellement connaissance.
Lorsque l'algorithme détermine, dans l'intérêt du fournisseur ou de son service, les conditions, les modalités ou l'ordre de priorité de diffusion des informations, au-delà d'une simple catégorisation ou indexation, le service ne peut être qualifié d'hébergement au sens de l'article 14 de la directive. L'automatisation du traitement ne garantit donc pas la neutralité du fournisseur.
La portée de cet arrêt doit néanmoins être délimitée en ce qu’il concerne le contrôle algorithmique des modalités de diffusion des informations, et non un dispositif destiné exclusivement à détecter des contenus illicites.
Bien que rendu en 2026, l'arrêt interprète les articles 14 et 15 de la directive sur le commerce électronique, et non l’article 7 du DSA, qui protège expressément certaines mesures volontaires de modération. Un filtrage automatique destiné à prévenir des infractions ne peut ainsi être assimilé, sans autre examen, à un contrôle des conditions de diffusion exercé dans l'intérêt commercial du fournisseur.
3. Exemption de responsabilité et contrôles à finalité commerciale
3.1 L'arrêt AGCOM c. Google Ireland : la connaissance acquise dans le cadre d'un partenariat commercial
Dans un arrêt du 16 juillet 2026, la CJUE examine les conséquences d'un contrôle des contenus réalisé dans le cadre d'un partenariat commercial. (6)
L'affaire concernait des vidéos publiées sur YouTube faisant la promotion de jeux d'argent en ligne, en violation de la réglementation italienne. L'autorité italienne de régulation des communications (AGCOM) avait prononcé une amende de 750.000€ à l’encontre de Google Ireland et ordonné le retrait de plusieurs vidéos.
Le créateur de ces vidéos avait conclu avec Google un accord de partage des revenus publicitaires. La conclusion de ce partenariat avait été précédée d'un examen du thème principal de la chaîne, de certaines vidéos et de leurs métadonnées.
La question posée à la CJUE était de savoir si Google pouvait bénéficier de l'exemption de responsabilité prévue à l'article 14 de la directive sur le commerce électronique malgré cet examen préalable.
La Cour distingue entre les mesures techniques ordinaires de détection des contenus illicites et l'examen effectué dans le cadre d’un partenariat commercial. Elle considère que ce dernier confère à l'exploitant une connaissance concrète du contenu essentiel des vidéos concernées, incompatible avec une activité purement technique, automatique et passive. L'article 14 de la directive ne s'applique donc pas à l'exploitant dans les circonstances examinées. Cette exclusion ne signifie cependant pas que sa responsabilité est automatiquement engagée, celle-ci devant être appréciée par la juridiction nationale.
3.2 La distinction entre contrôle commercial et modération de conformité
L'arrêt AGCOM distingue la détection des contenus illicites d'un examen particulier effectué dans le cadre de leur exploitation commerciale et souligne l'importance de la nature et de la finalité des interventions exercées par les plateformes. Cependant, la finalité commerciale ne suffit pas, à elle seule, à exclure le bénéfice de l'exemption de responsabilité. La nature et l'étendue du contrôle, ainsi que la connaissance qu'il procure au fournisseur, doivent également être prises en compte.
Comme l'arrêt WebGroup, la décision AGCOM interprète l'article 14 de la directive sur le commerce électronique, et non le DSA. Leur portée doit donc être appréciée à la lumière de l'article 7 du DSA, qui protège certaines initiatives volontaires de lutte contre les contenus illicites.
Il convient ainsi de distinguer entre d’une part, les mesures de détection et de retrait poursuivant des objectifs de conformité légale et d’autre part, les interventions par lesquelles le prestataire exerce un contrôle plus étendu sur les contenus ou leurs modalités de diffusion, à des fins commerciales.
4. Quelles conséquences pour les plateformes numériques ?
Les fournisseurs de services d'hébergement peuvent mettre en œuvre des dispositifs de modération réactive ou proactive, sans perdre automatiquement le bénéfice du régime aménagé de responsabilité.
Ils doivent cependant distinguer les mesures de détection des contenus illicites des interventions destinées à sélectionner ou promouvoir certaines publications, et pouvoir justifier la finalité et les modalités de leurs contrôles
Le traitement des alertes et des signalements demeure déterminant. Lorsqu'un hébergeur prend connaissance d'un contenu illicite, il doit agir promptement pour le retirer ou en bloquer l'accès. Un contenu échappant à un filtre automatisé n'engage pas automatiquement sa responsabilité, mais une alerte suffisamment précise peut être prise en compte pour apprécier sa connaissance de l'illicéité.
Enfin, l'article 14 du DSA impose aux fournisseurs d'informer leurs utilisateurs, dans les conditions générales d’utilisation du service, des politiques, procédures et outils de modération mis en œuvre, y compris les dispositifs algorithmiques et les vérifications humaines.
Pour nos précédents articles relatifs au DSA, voir DSA et conformité des services numériques : ce que doivent savoir les hébergeurs, plateformes et marketplaces(1ère partie), et DSA et conformité des services numériques : ce que doivent savoir les hébergeurs, plateformes et marketplaces (2è partie).
* * * * * * * * * * *
(1) Directive 2000/31/CE du 8 juin 2000 relative à certains aspects juridiques des services de la société de l'information, et notamment du commerce électronique, dans le marché intérieur (« directive sur le commerce électronique »), voir les articles 14 et 15
(2) CJUE, 22 juin 2021, YouTube et Cyando, aff. jointes C-682/18 et C-683/18
(3) Règlement (UE) 2022/2065 du 19 octobre 2022 relatif à un marché unique des services numériques et modifiant la directive 2000/31/CE (« règlement sur les services numériques » ou DSA), voir les articles 3 t), 6 à 8, 14 et 16
(4) Rectificatif au règlement (UE) 2022/2065 du 19 octobre 2022 relatif à un marché unique des services numériques et modifiant la directive 2000/31/CE (règlement sur les services numériques) : la rédaction de l’article 7 du DSA, dans sa version du 19 octobre 2022 étant ambiguë, un rectificatif a été publié le 4 juillet 2024. C’est donc cette version qu’il convient désormais de retenir, et non celle d’origine.
(5) CJUE, 16 juin 2026, WebGroup Czech Republic e.a., aff. jointes C-188/24 et C-190/24
(6) CJUE, 16 juillet 2026, AGCOM c. Google Ireland, C-421/24
Bénédicte DELEPORTE
Avocat
Deleporte Wentz Avocat
Octobre 2026